PCI DSS: La sécurité des cartes de crédit sans les maux de tête. PCI DSS: PCI Proxy de Datatrans. Nouveaux moyens de paiement: curabill

Transcription

1 since 2001 News Chère cliente, cher client, Nous ouvrons la lettre d information d automne par une description générale des directives de sécurité PCI DSS que chaque commerçant est dû de respecter quand il accepte les paiements par carte de crédit. Nous aimerions rappeler ici, une fois encore, ce que la norme signifie pour vous et comment vous pouvez travailler en conformité avec ces directives même si vous offrez à vos clients enregistrés un One-Click Checkout. Nous vous présentons d autre part, une solution PCI adaptée aux besoins des entreprises de tourisme. Le gros succès de nos librairies de paiement mobile pour ios et Androïdes nous a engagé à continuer de développer ce module de paiement. Les librairies offrent désormais, en plus de nombreuses petites améliorations, le «One-Click Checkout» pour PayPal et la PostFinance Card ainsi que la possibilité d effectuer les décomptes périodiques des transactions récurrentes (Recurring Transactions). Je vous souhaite une belle fin d automne et vous adresse mes meilleures salutations. Hanspeter Maurer, Directeur Contenu PCI DSS: La sécurité des cartes de crédit sans les maux de tête PCI DSS: PCI Proxy de Datatrans Nouveaux moyens de paiement: curabill E-Commerce-Report Suisse 2013 / Nouveaux acquéreurs Informations techniques Nouveaux clients

2 PCI DSS La sécurité des cartes de crédit sans les maux de tête Afin de permettre une procédure unifiée lors de l application des exigences de sécurité, les organismes de cartes de crédit VISA et MasterCard ont développé des normes de sécurité communes (PCI DSS = Payment Card Industry Data Security Standard). Les serveurs et les composants de réseaux insuffisamment entretenus, les applications web mal programmées, le tout combiné à une banque de données de cartes de crédit sauvegardée localement c est exactement ce qui peut constituer des objectifs d attaque profitables pour les pirates informatiques. Le bénéfice d une telle attaque, ce sont les données de cartes de crédit et de clients qui peuvent être revendues et utilisées frauduleusement. C est pour combattre cet abus que les organismes de cartes ont introduit les normes de securité PCI. Le respect de cette norme vis-à-vis des organismes de cartes de crédit doit être vérifié par l institut financier correspondant (acquéreur). Les commerçants sont dans l obligation de justifier leur conformité (compliance) avec la norme PCI en remplissant un questionnaire d auto-évaluation ( Self Assessment Questionnaire ; questionnaire standardisé d auto-évaluation). Dans la mesure où chaque commerçant dispose d une infrastructure IT différente, il existe donc plusieurs questionnaires dont le nombre des questions diffère également. Le questionnaire doit être rempli tous les ans. Conformité PCI Datatrans SA remplit l ensemble des directives PCI depuis le et est officiellement certifié par VISA et MasterCard en tant que Payment Service Provider (renouvellement annuel). Cette certification nous permet d attester la sécurité technique comme la sécurité organisationnelle. La certification PCI de Datatrans vous protège, vous et vos clients, contre les attaques des criminels. Vos clients ont ainsi la certitude de pouvoir payer sans danger et dans le plus grand confort par carte de crédit ce qui est un argument important lors des achats sur Internet. Les normes PCI DSS sont obligatoires pour tous les points d acceptation de cartes de crédit donc aussi pour votre boutique. Elles sont non seulement valables pour les boutiques en ligne et les centres d appel mais aussi pour tous les commerçants qui offrent à leurs clients les modes de paiement par cartes de crédit. Les directives PCI DSS concernent aussi bien les données sous forme digitale que celles présentées physiquement au commerçant. Les organismes de cartes de crédit exigent une certification PCI de toute personne acceptant, transmettant ou sauvegardant des données de cartes de crédit. En plus de la certification, des scans externes des points faibles des systèmes doivent être régulièrement effectués avec succès. C est la raison pour laquelle une certification PCI DSS est non seulement très coûteuse mais également très complexe. Les transactions de cartes de crédit effectuées sans certification peuvent entraîner le paiement de fortes amendes et même la résiliation du contrat d acceptation des cartes de crédit. Qu est-ce que cela signifie pour vous en tant que client de Datatrans? Nous vous offrons des solutions intelligentes qui vous permettent de satisfaire entièrement à toutes les normes également si vous voulez enregistrer en tant que commerçant des informations de paiement afin de pouvoir offrir à vos clients le One-Click Checkout ou si vous désirez effectuer périodiquement des débits récurrents (voir les Alias de carte de crédit de Datatrans et Datatrans PCI Proxy). La collaboration avec Datatrans ne délie cependant pas les commerçants de leur obligation de maintenir les directives PCI pour le fonctionnement de leur propre infrastructure et de suivre les prescriptions de leur institut financier. Datatrans n est pas responsable des dommages éventuels dus au fonctionnement non conforme aux normes PCI de l infrastructure. 2 datatrans-news

3 PCI DSS Pour pouvoir travailler en tant que commerçant avec votre solution en conformité avec la norme PCI, veuillez observer les points suivants: Respectez très précisément nos spécifications d implémentation. Informez vos collaborateurs/collaboratrices au sujet des normes PCI: Exigez qu aucun document électronique ne mentionne ni ne sauvegarde des données de cartes de crédit; si un numéro de carte de crédit devait cependant être tout de même être noté, qu il le soit sur un papier qui sera aussitôt détruit comme il se doit après utilisation. Définissez le respect des directives PCI dans votre commande de développement comme faisant partie intégrante de la commande de projet et exigez des corrections gratuites si ce point n était pas respecté. PCI Proxy de Datatrans De nombreux fournisseurs de prestations, spécialement dans le domaine du tourisme, doivent pouvoir accepter les données des cartes de crédit et les conserver pour des paiements récurrents ou comme garantie pour des réservations de prestations de services. Aujourd hui, ce procédé n est autorisé qu avec la certification complexe PCI DSS mentionnée plus haut. PCI Proxy est une alternative idéale offerte par Datatrans. Depuis l introduction de la norme PCI DSS (Payment Card Industry Data Security Standards) des limites très strictes ont été fixées pour le traitement et la sauvegarde des données de cartes de crédit. Afin de pouvoir continuer à utiliser les numéros de cartes de crédit pour la garantie de prestations touristiques, toutes les organisations et sociétés participantes devaient théoriquement être soumises à une certification PCI (Portails de réservation, Channel Manager, Hôtels etc.) ce qui entraînait un investissement considérable. Le PCI Proxy de Datatrans offre une alternative à la certification PCI. Il permet d utiliser des données de cartes de crédit comme par le passé, sans être soumis à une certification PCI complexe (voir l article ci-contre). Des Tokens appelés Alias sont sauvegardés dans le système de clients à la place des numéros de cartes de crédit. Ces alias peuvent être utilisés comme de vrais numéros de cartes en les combinant avec différentes APIs de Datatrans. Datatrans a déjà implémenté avec succès des applications PCI Proxy pour les cas d application suivants: Online Tokenizer pour les systèmes de réservation sur Internet Le service flexible pour les outils de réservation Web Les portails de réservation d hôtel et les systèmes de Destination Management transmettent dans de nombreux cas des données de carte aux fournisseurs de services (Hôtels) pour que ceux-ci puissent facturer indépendamment le prix d une nuit en cas de défection d un client (No Show). Le Online Tokenizer de Datatrans permet de convertir directement le numéro de carte de crédit entré par la personne qui a fait la réservation en un Alias grâce à un API Ajax spécial. Bien que les données ne soient pas entrées sur un formulaire Web de Datatrans, jamais les systèmes de réservation ne sont en contact avec des numéros de cartes, remplissant ainsi les obligations de PCI DSS. datatrans-news

4 PCI DSS Infos Pour de plus amples informations sur les différentes versions de PCI Proxy, le mieux est de nous contacter par courriel à: ou tout simplement de nous téléphoner. Nos experts se feront un plaisir de vous conseiller. No Show Charge Detokenizer pour les hôtels Le Service idéal pour le traitement des No Show Charges en conformité avec le PCI Les hôtels et autres fournisseurs de services, comme par exemple les loueurs de voitures, débitent souvent des frais de défections (No Show Fees). Grâce au Detokenizer, il est possible dans ces cas de présenter au fournisseur de service un numéro de carte de crédit en conformité avec la norme PCI et d effectuer les comptabilisations ultérieures correspondantes. IATA HOT File Tokenizer pour les compagnies aériennes Le Service fiable pour l import de HOT files en conformité avec la norme PCI Les Ticket Offices des compagnies aériennes, Global Distribution Systems (GDS) et Travel Agents/ BSPs transmettent des données de réservation en format IATA HOT. Le PCI Proxy élimine toutes les données de carte des HOT Files et remplace ceux-ci par des Alias. Channel Manager Tokenizer La solution High End pour l intégration en conformité au PCI de portails de réservation en ligne et de Global Distribution Systems Le Channel Manager Tokenizer est le Premium Service parmi les PCI Proxy APIs de Datatrans. Il s agit là d une jonction universelle entre les fournisseurs de services (Hôtels ou groupes d hôtels, destinations etc.) d une part et les portails de réservations de voyages d autre part. Le Channel Manager Tokenizer soutient tous les portails de réservations usuels et les (GDS) systèmes de distribution globale. La certification PCI DSS devient également obligatoire pour les hôtels À partir de l automne de cette année, tous les hôtels doivent impérativement remplir les normes de Payment Card Industry Data Security Standards (PCI DSS). Les PCI DSS sont les normes de sécurité des organismes internationales de cartes de crédit valables dans le monde entier. Elles doivent contribuer à mieux protéger les cartes de crédit et ainsi à augmenter la sécurité. Les solutions d hôtels certifiées PCI protègent les hôteliers contre les dommages financiers et les réclamations de dommages et intérêts en cas d utilisation frauduleuse des données. Si par contre, les hôtels ne respectent pas ces normes et ne se font pas certifier comme il se doit, ils peuvent être rendus responsables. Avec une solution de paiement de Datatrans, installée en suivant correctement les spécifications d implémentations vous remplissez les exigences techniques de PCI DSS (Payment Card Industry Data Security Standard). Pour les cas particuleirs avec profils d utilisateur, des solutions spéciales sont disponibles: Alias de cartes de crédit de Datatrans PCI Proxy de Datatrans 4 datatrans-news

5 Nouveaux moyens de paiement curabill Paiement sur facture et Paiement par acomptes Les boutiques en ligne qui travaillent avec Datatrans peuvent désormais offrir dans leurs magasins le paiement sur facture et le paiement par acomptes, deux moyens de paiement développés par curabill, un centre de compétence de Swisscom Suisse SA, et très demandés par les consommateurs. La facture est le moyen de paiement le plus souvent choisi par les consommateurs. L analyse montre que l utilisation de ce moyen de paiement augmente nettement le chiffre d affaires d une boutique tout en faisant baisser de façon significative le pourcentage des interruptions d achat. En complément de paiement sur facture, curabill offre également le paiement par acomptes avec possibilité de choisir en ligne la solution de e-facture (entièrement sans papier). Les deux moyens de paiement sont aussitôt utilisables par les consommateurs après un examen de la demande fait à l arrière-plan. Grâce à l intégration technique existant déjà, l entrée en ligne dans la boutique peut se faire dans un délai très court. Les services spéciaux et les avantages de curabill sont: Facturation dans toutes les langues nationales Centre de service multilingue pour vos demandes d informations et celles de vos clients Proximité du client grâce au suivi local Toutes les prestations sont de première main Accords de paiement mensualisés individuels avec vos clients Paiement par acomptes entièrement digital avec décision immédiate et sans risque pour le commerçant Modèles de risques individuels avec assurance en cas de défaut jusqu à 100% pour une structure de prix avantageuse Versement immédiat des montants des factures envoyées Délais de paiement et de sommation individuels Processus de recouvrement entièrement intégré exécuté par Alphapay SA, lune société filiale de Swisscom Vous trouverez de plus amples informations sur les différentes offres ainsi que sur l implémentation de ces services sur (seulement en allemand). curabill est le spécialiste suisse de gestion des créance, gestion des factures et services fiduciaires, et dispose de plus de 30 ans d expériences dans ce domaine extrêmement sensible. Infos Vous aimeriez recevoir plus d informations ou bien une offre concrète? Nous vous conseillons avec plaisir veuillez contacter notre équipe de vente au ou par courriel à: sales@datatrans.ch. datatrans-news

6 Payment News Le E-Commerce-Report Suisse 2013 est également disponible en français Le nouveau E-Commerce-Report Suisse 2013 est dès maintenant et pour la première fois disponible gratuitement en français. Infos Vous trouverez de plus amples informations sur: Ralf Wölfle et Uwe Leimstoll, les deux professeurs responsables de cette étude, signent cette année aussi, un tableau de haute qualité du commerce en ligne suisse du point de vue du fournisseur. L Association des entreprises suisses actives dans la vente à distance (ASVAD) donne son avis à ce sujet: Le E-Commerce-Report 2013 est arrivé. C est un chef d oeuvre de points de vue différenciés, à l opposé du tapage et de la rumeur médiatique. C est également un délice pour qui travaille sur le terrain et qui, ne pouvant se contenter de développer des visions, doit au contraire gagner son pain quotidien (et celui de ses employés) en se battant avec acharnement avec la concurrence. Investir ou observer? La question résume la situation du E-Commerce B2B en Suisse du point de vue du fournisseur. Si la tendance à la croissance dans le Commerce en ligne reste intacte et sera maintenue par les participants à l étude pour les années à venir, la concurrence s intensifie pour les fournisseurs. C est pourquoi ils remettent leurs concepts d entreprise sur le banc d essai afin d optimiser et de réajuster les stratégies à de nombreux niveaux. En même temps, de nombreux nouveaux domaines d intervention voient le jour. Ils offrent d une part de nouvelles chances mais nécessitent d autre part de nouveaux investissements et la prise de décisions. Les interventions les plus importantes se feront dans le domaine des canaux multiples et du mobile. Vous pouvez télécharger gratuitement l étude grâce aux liens suivants: en français (pdf, 1.1 MB): en allemand (pdf, 1 MB): Nouveaux acquéreurs Hobex AG En plus de card complete et PayLife, l acquéreur Hobex est désormais également disponible en Autriche. Hobex est un prestataire général autrichien pour les systèmes de paiement sans numéraire. Il répond à toutes les questions concernant les solutions de hardware et de logiciels ainsi que d acceptation de cartes de crédit, de Bancomat ou de paiement dans le commerce en ligne. 6 datatrans-news

7 Informations techniques Messages d alarme, Signature, Demande de statut XML, Mobile Payment Libraries Adresses de courriel groupe impersonnelles pour messages d alarme Datatrans envoie des messages d alarme dès que des dysfonctionnements apparaissent dans le traitement des paiements qui sont d une extrême importance pour la majorité de nos clients; ceci indépendamment de l auteur du dysfonctionnement (c est-à-dire également pour des tiers systèmes). Afin que ces messages arrivent, l adresse de courriel déposée chez nous doit être impersonnelle. C est-à-dire sous forme d une adresse de courriel de groupe ou d un alias. Veuillez nous contacter si l une des adresses souhaitées devait manquer dans ce distributeur ou si vous désiriez l actualiser: support@datatrans.ch Infos Pour de plus amples informations sur ces sujets, veuillez vous adresser à notre équipe de support. Protection améliorée contre les manipulations frauduleuses en utilisant la signature Lors de l utilisation de formulaires de paiement externes comme par exemple l UPP de Datatrans (Universal Payment Page), le risque infime existe, qu un acheteur ingénieux manipule certaines données pendant le processus de paiement, comme par exemple le montant, transmettant ainsi de fausses données à Datatrans. Ceci peut entraîner que la transaction soit décomptée avec un montant moins élevé. Il est possible de prévenir de façon fiable ce type de manipulation, en utilisant la signature (Paramètre «sign»). Il existe deux versions de cette signature, une clé statique et une valeur Hash dynamique. La version dynamique est un peu plus complexe à intégrer mais offre une meilleure protection. Demande de statut XML améliorée Il est parfois utile de déterminer ultérieurement le statut d une transaction, comme par exemple dans le cas où le processus de paiement n a pas été mené à terme dû à la non disponibilité de l adresse de retour côté magasin en ligne. La demande de statut XML (Status Request) permet alors de déterminer si des transactions de ce type ont été effectuées. Il fallait jusqu à présent disposer impérativement du numéro de référence de la transaction unique et ceci par commerçant pour déterminer le statut. Quand plusieurs transactions avaient été décomptées avec le même numéro de référence, la demande de statut ne donnait que le nombre des transactions trouvées, sans autres détails complémentaires. Désormais, dans le cas de plusieurs transactions portant le même numéro de référence, tous les détails sont mis à disposition. Cette nouvelle requête est gratuite, c est-à-dire comprise dans le prix des transactions. PayPal Billing Agreement et PostFinance Alias sont désormais disponibles dans nos librairies de paiement mobile Le gros succès de nos librairies de paiement mobile nous a motivé à poursuivre le développement de ces modules de paiement. En plus de nombreuses petites améliorations, nous nous sommes engagés sur les fonctions de One-Click Checkout. Dès maintenant, il est possible de conclure ce que l on appelle des Billing Agreements (ententes de facturation) avec PayPal. Et pour les transactions de PostFinance Card, des déblocages d alias peuvent être effectués. Ce qui signifie que, désormais, les données de compte concernant ces deux modes de paiement peuvent être sauvegardées directement pour de futurs paiements dans les applis d origine des ios ou des Androïdes. Ceci permet aux clients enregistrés d utiliser les données sauvegardées pour utiliser le mode simplifié de paiement (One-Click Checkout). Et le commerçant peut également effectuer, comme par exemple dans le cas de tarifs d abonnement, les paiements périodiques récurrents (Recurring Billing). datatrans-news

8 Nouveaux clients Bisnode, Edelweiss Air et les Auberges de Jeunesse Suisses Nous avons le plaisir de souhaiter la bienvenue chez Datatrans à Bisnode, à Edelweiss Air et aux Auberges de Jeunesse Suisses. Bisnode ( Bisnode est le leader européen du marché des informations économiques digitales et soutient les entreprises dans leur volonté de prendre de meilleures décisions commerciales, de minimiser les risques et d optimiser le succès de la distribution. Les perspectives obtenues par le réseau de données simplifient la prise de décisions des clients de Bisnode aussi bien dans les questions de stratégie que dans les affaires courantes. Bisnode s occupe avec plus de collaborateurs/collaboratrices de plus de clients dans 19 marchés européens. Bisnode a choisi Datatrans comme Payment Service Provider pour le traitement en toute sécurité des paiements en ligne via monetas, le portail d informations. Monetas permet à chacun d examiner à un prix raisonnable des entreprises situées en Allemagne, en Autriche et en Suisse et de consulter les informations du registre du commerce ou concernant la solvabilité. Edelweiss Air AG ( Edelweiss Air AG a été fondée le 19 octobre 1995 à Bassersdorf. En novembre 2008 Edelweiss a été intégrée au groupe Lufthansa et est aujourd hui une société filiale de SWISS. Le siège est à l aéroport de Zurich. En 2012 Edelweiss a transporté près d 1.3 millions de passagers vers de merveilleuses destinations de vacances dans 28 pays à travers le monde. Edelweiss Air a reçu le Travelstar Award d or pour ses prestations exceptionnelles entre Datatrans SA Stadelhoferstrasse Zurich Tél Fax Les Auberges de Jeunesse Suisses ( Les Auberges de Jeunesse Suisses sont depuis 90 ans, la première adresse de tous les voyageurs près de leur budget. Ce n est pas étonnant car elles se trouvent souvent dans des bâtiments historiques de rêve que ce soit des châteaux, d anciens bâtiments industriels ou des villas historiques. Ces dernières années ont vu de nouveaux bâtiments spectaculaires compléter cette palette. Il s agit en tout de 53 maisons qui offrent une infrastructure contemporaine taillée sur mesure pour les jeunes, ceux qui le sont restés et les familles; il n y a pas d âge limite. Changement d adresse et informations: Tél marketing@datatrans.ch Commande Newsletter: marketing@datatrans.ch Newsletter en version électronique: (sous Qui sommes-nous ) La plupart des auberges de jeunesse offrent aujourd hui des chambres de deux, quatre ou six personnes; les plus petites unités disposant d une salle de bain individuelle. La première auberge de jeunesse avec wellness est actuellement en construction à Saas Fee vous en saurez plus sur 8 datatrans-news